Die E-Evidence-Verordnung

Die E-Evidence-Regeln gelten jetzt

Das E-Evidence-Paket der EU gilt seit dem 18.8.2026. Es besteht aus der Verordnung über Europäische Herausgabeanordnungen und Europäische Sicherungsanordnungen für elektronische Beweismittel in Strafverfahren (Verordnung (EU) 2023/1543) und der Richtlinie über benannte Niederlassungen und gesetzliche Vertreter (Richtlinie (EU) 2023/1544). Gemeinsam erlauben sie Staatsanwälten und Richtern in einem Mitgliedstaat, einen Diensteanbieter in einem anderen Mitgliedstaat unmittelbar zur Herausgabe oder Sicherung elektronischer Daten zu verpflichten, ohne den Weg über die Behörden des Herkunftsstaats des Anbieters zu gehen, und sie verpflichten Diensteanbieter, die in der EU Dienste anbieten, einen Adressaten für solche Anordnungen zu benennen.

Deutschland hat beide Rechtsakte durch das Elektronische-Beweismittel-Umsetzungs-und-Durchführungsgesetz (EBewMG) vom 10.3.2026 umgesetzt. Das Bundesamt für Justiz überwacht die Einhaltung der Pflicht zur Benennung eines Adressaten, die Staatsanwaltschaft handelt als Vollstreckungsbehörde, und Bußgelder bei Verstößen können bei größeren Anbietern bis zu 2 % des Gesamtumsatzes erreichen.

Welche Diensteanbieter betroffen sind

Die E-Evidence-Verordnung gilt für Diensteanbieter, die Dienste in der Union anbieten (Art. 2 Abs. 1 der Verordnung). Zu den Diensteanbietern gehören Anbieter elektronischer Kommunikationsdienste, von Diensten für Domainnamen und IP-Nummerierung sowie von Diensten der Informationsgesellschaft, die es Nutzern ermöglichen, miteinander zu kommunizieren oder Daten zu speichern oder zu verarbeiten – etwa E-Mail- und Messaging-Dienste, Cloud-Speicher, soziale Netzwerke, Online-Marktplätze und Hosting. Ob ein Anbieter Dienste in der Union anbietet, hängt davon ab, ob er Personen in einem Mitgliedstaat die Nutzung seiner Dienste ermöglicht und eine wesentliche Verbindung zur Union hat, etwa durch eine Niederlassung, eine erhebliche Zahl von Nutzern oder die Ausrichtung seiner Tätigkeit auf einen oder mehrere Mitgliedstaaten.

Verantwortliche und Auftragsverarbeiter

Eine Herausgabeanordnung ist an den Diensteanbieter zu richten, der als Verantwortlicher im Sinne der DSGVO handelt. Unmittelbar an einen Auftragsverarbeiter, der die Daten im Auftrag des Verantwortlichen speichert oder verarbeitet, darf sie nur gerichtet werden, wenn der Verantwortliche trotz angemessener Bemühungen nicht ermittelt werden kann oder wenn eine Anordnung an den Verantwortlichen den Ermittlungen schaden könnte (Art. 5 Abs. 6 der Verordnung). Für deutsche Unternehmen, die Cloud-Dienste für ihre eigenen Daten nutzen, bedeutet dies, dass sich die Behörden in den meisten Fällen an das Unternehmen selbst als Verantwortlichen wenden, in Ausnahmefällen die Anordnung aber unmittelbar an den Cloud-Anbieter gehen kann. Auftragsverarbeitungsverträge sollten regeln, wie Auftragsverarbeiter mit E-Evidence-Anordnungen umgehen, einschließlich Informationspflichten und Mitwirkung.

Für deutsche Unternehmen sind die E-Evidence-Regeln in zweifacher Hinsicht relevant. Anbieter solcher Dienste – einschließlich SaaS- und Cloud-Unternehmen, Telekommunikationsanbieter und Plattformen – sind Adressaten von Anordnungen. Unternehmen, die solche Dienste nutzen, müssen damit rechnen, dass Daten über ihre Beschäftigten, Kunden oder sie selbst in Strafverfahren bei ihren Anbietern angefordert werden, auch in Verfahren, in denen eine juristische Person zur Verantwortung gezogen werden könnte.

Herausgabe- und Sicherungsanordnungen

Eine Europäische Herausgabeanordnung verpflichtet den Anbieter zur Herausgabe bestimmter Daten; eine Europäische Sicherungsanordnung verpflichtet ihn, Daten bis zu einem späteren Herausgabeersuchen zu sichern. Anordnungen werden nicht formlos, sondern mithilfe standardisierter Zertifikate (EPOC und EPOC-PR) übermittelt, die die wesentlichen Angaben zur Anordnung enthalten.

Anordnungen müssen erforderlich und verhältnismäßig sein und dürfen nur erlassen werden, wenn in einem vergleichbaren innerstaatlichen Fall eine ähnliche Anordnung hätte erlassen werden können (Art. 5 Abs. 2 der Verordnung). Anordnungen zu Verkehrs- und Inhaltsdaten erfordern grundsätzlich die Beteiligung eines Richters, eines Gerichts oder eines Ermittlungsrichters.

Fristen

Nach Erhalt einer Herausgabeanordnung muss der Adressat unverzüglich und ohne weitere Aufforderung tätig werden, um die Daten zu sichern. Er muss die Daten binnen zehn Tagen übermitteln oder, wenn der Vollstreckungsstaat unterrichtet wurde, mit Ablauf der Zehntagesfrist, sofern dieser Staat keinen Ablehnungsgrund geltend macht (Art. 10 Abs. 2 und 3 der Verordnung). In Notfällen sind die Daten binnen acht Stunden zu übermitteln (Art. 10 Abs. 4 der Verordnung). Aufgrund einer Sicherungsanordnung sind die Daten 60 Tage lang zu sichern, verlängerbar um 30 Tage, oder länger, wenn ein Herausgabeersuchen bestätigt wird (Art. 11 Abs. 1 und 2 der Verordnung).

Fallbeispiel

Fallbeispiel (hypothetisch): Ein deutscher E-Mail-Anbieter mit Kunden in ganz Europa erhält im Zusammenhang mit einem Betrugsverfahren von einem spanischen Ermittlungsrichter eine Europäische Herausgabeanordnung für den Inhalt eines Postfachs eines in Deutschland ansässigen Nutzers. Da die Anordnung Inhaltsdaten betrifft und der Nutzer nicht in Spanien wohnt, muss die Anordnungsbehörde die deutsche Vollstreckungsbehörde, die zuständige Staatsanwaltschaft, unterrichten. Der Anbieter sichert die Daten sofort und übermittelt sie, sofern die Staatsanwaltschaft nicht binnen zehn Tagen einen Ablehnungsgrund geltend macht, mit Ablauf dieser Frist an die spanische Behörde. Sein internes Verfahren dokumentiert Eingang, Prüfung und Übermittlung der Daten lückenlos, sodass er die Einhaltung der Fristen jederzeit nachweisen kann.

Ablehnungsgründe und die Stellung des Anbieters

Ist eine Unterrichtung erforderlich, kann die Vollstreckungsbehörde – in Deutschland die Staatsanwaltschaft (§ 11 EBewMG) – binnen zehn Tagen, in Notfällen binnen 96 Stunden, Ablehnungsgründe geltend machen (Art. 12 der Verordnung). Zu den Gründen gehören Immunitäten und Vorrechte, Vorschriften zum Schutz der Pressefreiheit, offensichtliche Verletzungen von Grundrechten, der Grundsatz ne bis in idem und, mit Ausnahmen für Katalogtaten, das Fehlen der beiderseitigen Strafbarkeit.

Der Anbieter selbst hat nach der E-Evidence-Verordnung nur begrenzte Möglichkeiten, sich gegen eine Anordnung zu wehren. Er muss die Anordnungsbehörde informieren, wenn er die Anordnung nicht befolgen kann, weil das Zertifikat unvollständig ist oder offensichtliche Fehler enthält, weil die Befolgung faktisch unmöglich ist oder weil sie mit dem Recht eines Drittstaats kollidieren würde, wofür ein besonderes Überprüfungsverfahren gilt. Ein Anbieter, der eine Anordnung in gutem Glauben befolgt, haftet Nutzern oder Dritten nicht für Schäden, die ausschließlich aus dieser Befolgung entstehen, unbeschadet datenschutzrechtlicher Pflichten (Art. 15 Abs. 2 der Verordnung).

Benannte Niederlassungen und gesetzliche Vertreter

Die Richtlinie verpflichtet Diensteanbieter, die Dienste in der EU anbieten, eine Niederlassung zu benennen oder einen gesetzlichen Vertreter zu bestellen, der Entscheidungen und Anordnungen zu elektronischen Beweismitteln entgegennimmt, befolgt und durchsetzt. Nach § 3 EBewMG müssen Anbieter mit eigenen Niederlassungen in Deutschland und anderen Mitgliedstaaten mindestens eine Niederlassung als Adressaten benennen, Anbieter, die nur in Deutschland niedergelassen sind, müssen dies tun, wenn sie Dienste in Deutschland oder einem anderen Mitgliedstaat anbieten, und Anbieter ohne Niederlassung in einem teilnehmenden Mitgliedstaat müssen einen gesetzlichen Vertreter bestellen. Die Anbieter müssen die Angaben und die akzeptierten Sprachen mitteilen (§ 4 EBewMG). Anbieter und Adressat können bei Verstößen gesamtschuldnerisch verantwortlich gemacht werden (§ 5 EBewMG).

Praktische Organisation für Anbieter

Zur Einhaltung der E-Evidence-Regeln sollten Anbieter mehrere organisatorische Schritte unternehmen:

1. Prüfen Sie, ob das Unternehmen ein Diensteanbieter im Anwendungsbereich ist und in welchen Mitgliedstaaten es Dienste anbietet.
2. Benennen Sie eine Niederlassung oder bestellen Sie einen gesetzlichen Vertreter und unterrichten Sie die zuständigen zentralen Behörden.
3. Richten Sie einen sicheren Kanal und ein verantwortliches Team für den Empfang von Zertifikaten ein, einschließlich einer Notfallerreichbarkeit.
4. Legen Sie Prüfschritte für Zertifikate, Datenkategorien und mögliche Konflikte mit dem Recht von Drittstaaten fest.
5. Bauen Sie geeignete technische Prozesse auf, um Daten schnell zu sichern und zu extrahieren.
6. Dokumentieren Sie alle eingegangenen Anordnungen und Antworten.
7. Stimmen Sie Kundenverträge, Datenschutzhinweise und Transparenzberichte ab.

Bis das nach Art. 19 der Verordnung erforderliche dezentrale IT-System für alle Beteiligten verbindlich wird, kann die Kommunikation über andere sichere Kanäle erfolgen; die Pflicht zur Nutzung des Systems gilt ein Jahr nach Erlass der Durchführungsrechtsakte der Kommission (Art. 34 Abs. 2 der Verordnung).

Bußgelder in Deutschland

§ 18 EBewMG stuft Verstöße gegen die Pflichten aus dem E-Evidence-Paket als Ordnungswidrigkeiten ein. Wer keine Niederlassung benennt, keinen Vertreter bestellt oder die erforderlichen Mitteilungen nicht macht, wer Daten nicht rechtzeitig sichert oder übermittelt und wer Sicherungsanordnungen nicht befolgt, kann mit einer Geldbuße von bis zu 500.000 Euro belegt werden.

Bei Anbietern mit einem Gesamtumsatz von mehr als 25 Mio. Euro können Bußgelder für Verstöße gegen die Übermittlungs- und Sicherungspflichten bis zu 2 % des Gesamtumsatzes erreichen; dies spiegelt die Vorgabe der Verordnung wider, dass die Mitgliedstaaten Sanktionen von bis zu 2 % des weltweiten Jahresumsatzes vorsehen können (Art. 15 Abs. 1 der Verordnung). Für geringere Mitteilungsverstöße gelten dagegen niedrigere Obergrenzen. Das Bundesamt für Justiz überwacht die Benennungs- und Mitteilungspflichten, während Bußgelder wegen der Nichtbefolgung einzelner Anordnungen den Verfahren nach dem Gesetz über Ordnungswidrigkeiten folgen. Anbieter, die einen Bußgeldbescheid erhalten, können ihn gerichtlich anfechten, und das EBewMG enthält besondere Regeln zur gerichtlichen Überprüfung von Entscheidungen im Zusammenhang mit Anordnungen.

Datenschutz und unternehmerische Erwägungen

Anordnungen gehen vertraglichen Vertraulichkeitspflichten gegenüber Kunden vor, die DSGVO gilt aber uneingeschränkt weiter. Anbieter sollten die Offenlegung strikt auf die angeforderten Daten beschränken und jede Anordnung sorgfältig dokumentieren. Die Anordnungsbehörde ist dafür verantwortlich, die Person zu unterrichten, deren Daten angefordert werden, und kann dies unter den Voraussetzungen des EU-Datenschutzrechts für den Strafverfolgungsbereich aufschieben oder einschränken (Art. 13 der Verordnung). Erhält ein Auftragsverarbeiter eine Anordnung, muss er seinen Kunden als Verantwortlichen informieren, sofern die Anordnungsbehörde ihn nicht ersucht hat, davon abzusehen (Art. 5 Abs. 7 der Verordnung). Kundenverträge und Datenschutzhinweise sollten erläutern, dass Daten auf Anordnung offengelegt werden können.

Unternehmen, gegen die selbst ermittelt wird, sollten sich bewusst sein, dass ihre Daten grenzüberschreitend bei Cloud- und Kommunikationsanbietern beschafft werden können, ohne dass das Unternehmen selbst um Herausgabe ersucht wird. Das wirkt sich auf die Strategie interner Untersuchungen, die Aufbewahrung von Unterlagen und die Beurteilung des Anwaltsgeheimnisses aus. Grenzüberschreitende Ermittlungen mit Bezug zu den Vereinigten Staaten oder anderen Drittstaaten können Kollisionen von Rechtsordnungen aufwerfen, für die die Verordnung ein Überprüfungsverfahren vorsieht. Siehe unsere Seiten zur Wirtschaftsstrafverteidigung und zu internen Untersuchungen.

E-Evidence und andere Rechtsinstrumente

Die neuen Anordnungen ersetzen die bestehenden Instrumente der internationalen Zusammenarbeit in Strafsachen nicht. Die Europäische Ermittlungsanordnung nach der Richtlinie 2014/41/EU, die Rechtshilfe und nationale Ermittlungsbefugnisse bleiben verfügbar, und die Behörden können das für den Fall passende Instrument wählen. Die deutsche benannte Niederlassung oder der gesetzliche Vertreter muss auch Anordnungen nach diesen anderen Instrumenten entgegennehmen, soweit sie an ihn gerichtet sind, da § 2 EBewMG das Adressatenregime entsprechend erstreckt. Für Diensteanbieter bedeutet dies, dass eine einzige, gut organisierte Anlaufstelle alle Arten von E-Evidence-Ersuchen bearbeiten sollte und dabei die besonderen Fristen und Prüfschritte jedes Instruments beachtet.

So unterstützt TRW & Co bei E-Evidence

Wir beraten Diensteanbieter zu den E-Evidence-Regeln: zum Anwendungsbereich, zur Benennung von Niederlassungen und gesetzlichen Vertretern, zu Verfahren für Herausgabe- und Sicherungsanordnungen, zu Konflikten mit dem Recht von Drittstaaten und zum Datenschutz. Wir prüfen eingegangene Anordnungen, kommunizieren mit Anordnungs- und Vollstreckungsbehörden und verteidigen in Bußgeldverfahren. Außerdem beraten wir Unternehmen, deren Daten in Strafverfahren angefordert werden. Siehe unsere Seite zu Daten und Digitalisierung und unseren Beitrag zur Incident Response oder kontaktieren Sie uns.